等保整改合约 RC-DEMO-2026-001 Revision 2正在连接

用法 06 · 等保整改是变更的一种

管理网—生产控制网边界访问收敛

安全监控与人员定位系统 · 第三级 · 工业控制扩展

接入测评结果领导展示
原始发现高风险F-017
条款闭合3 / 3测评问题要求的不变量
生产无损15 条要命链路一条不断
可回退已验证回退单由变更自动反推
当前结论验算通过浏览器本地验算
01

测评问题归一化

把报告话术冻结成真账上可验算的主张

BOUNDARY_POLICY_OVERPERMISSIVE
报告原文
管理网与生产控制网之间访问控制粒度不足，存在范围过大的允许策略；厂商远程维护存在绕过运维审计的通道。
测评依据GB/T 22239-2019 · 安全区域边界 · 访问控制基线真账指纹c243913c26…25b2c4
02

整改后的矿网

点右侧主张，看它在图上的路径；红线是绕过堡垒机的旁路

验算通过
外部 · 厂商远维管理网（办公）工业 DMZ生产控制网 · 地面生产控制网 · 井下环网监管交换区外部 · 上级平台安全监控厂商 VPN 隧道｜运营商专线 → 远维 VPN 网关人员定位厂商 VPN 隧道｜运营商专线 → 远维 VPN 网关视频厂商 VPN 隧道｜运营商专线 → 远维 VPN 网关VPN 网关 — DMZ 交换机｜机房 1 号柜内跳线VPN 网关 — 生产核心 A（历史遗留直连）｜机房 1 号柜 → 2 号柜，标签「临时调试」堡垒机外侧口｜机房 1 号柜内跳线堡垒机内侧口｜机房 1 号柜内跳线镜像库 — DMZ 交换机｜机房 1 号柜内跳线防火墙 DMZ 口｜机房 1 号柜内跳线办公接入｜办公楼综合布线授时服务器接入｜办公楼 3 层弱电间办公网 — 边界防火墙｜办公楼 → 调度中心机房 1 号柜，单模光缆边界防火墙 — 生产核心 A｜机房 1 号柜 → 2 号柜生产核心 A — B 堆叠｜机房 2 号柜 → 3 号柜人员定位服务器接入｜机房 2 号柜内应急广播主机接入｜调度室 → 机房 2 号柜安全监控主机网卡 1｜机房 2 号柜内安全监控主机网卡 2｜机房 2 号柜 → 3 号柜工程师站接入｜操作间 → 机房 3 号柜综合自动化主机接入｜机房 3 号柜内视频 NVR 接入｜机房 3 号柜内主通风机房光缆｜调度中心 → 主通风机房，架空光缆 1.2 km主通风机 PLC 接入｜主通风机房控制柜生产核心 B — 单向网闸｜机房 3 号柜 → 4 号柜网闸 — 采集机｜机房 4 号柜内采集机 — 上传路由器｜机房 4 号柜内省局监测专线｜运营商专线（单条）集团专线｜运营商专线（单条）主井光缆｜主井井筒电缆梯，48 芯副井光缆｜副井井筒电缆梯，24 芯环网 井底车场 — 中央变电所｜井底车场 → 中央变电所 大巷环网 中央变电所 — 中央水泵房｜中央变电所 → 水泵房 联络巷环网 中央水泵房 — 一采区变电所｜水泵房 → 一采区 轨道大巷环网 一采区变电所 — 井底车场｜一采区 → 井底车场 运输大巷一采区 — 101 工作面｜一采区 → 101 工作面 运输顺槽（单根）定位基站接入｜井底车场广播终端接入｜井底车场分站 2# 接入｜中央变电所综保子站接入｜中央变电所水泵房 PLC 接入｜中央水泵房分站 3# 接入｜一采区回风巷分站 1# 接入｜101 工作面定位基站接入｜101 工作面摄像机接入｜101 工作面安全监控厂商远维｜厂商侧（VPN 拨入）｜172.31.1.10安全监控厂商远维人员定位厂商远维｜厂商侧（VPN 拨入）｜172.31.2.10人员定位厂商远维视频厂商远维｜厂商侧（VPN 拨入）｜172.31.3.10视频厂商远维办公终端｜办公楼各科室｜10.10.20.15, 10.10.20.16办公终端办公核心交换机｜办公楼 3 层弱电间｜10.10.0.1办公核心交换机北斗授时服务器｜办公楼 3 层弱电间｜10.10.0.20北斗授时服务器远维 VPN 网关｜调度中心机房 1 号柜｜10.30.0.1远维 VPN 网关DMZ 交换机｜调度中心机房 1 号柜｜10.30.0.2DMZ 交换机生产数据镜像库｜调度中心机房 1 号柜｜10.30.0.20生产数据镜像库运维堡垒机｜调度中心机房 1 号柜｜10.30.0.10运维堡垒机管理网边界防火墙｜调度中心机房 1 号柜｜10.30.0.254管理网边界防火墙生产核心交换机 A｜调度中心机房 2 号柜｜10.20.0.1生产核心交换机 A生产核心交换机 B｜调度中心机房 3 号柜｜10.20.0.2生产核心交换机 B人员定位服务器｜调度中心机房 2 号柜｜10.20.0.11人员定位服务器应急广播主机｜调度室｜10.20.0.14应急广播主机安全监控主机｜调度中心机房 2 号柜｜10.20.0.10安全监控主机工程师站｜调度中心机房操作间｜10.20.0.12工程师站综合自动化主机｜调度中心机房 3 号柜｜10.20.0.13综合自动化主机视频 NVR｜调度中心机房 3 号柜｜10.20.0.15视频 NVR主通风机房交换机｜主通风机房｜10.20.0.30主通风机房交换机主通风机 PLC｜主通风机房｜10.20.0.31主通风机 PLC单向网闸｜调度中心机房 4 号柜｜10.40.0.1单向网闸监管数据采集机｜调度中心机房 4 号柜｜10.40.0.10监管数据采集机监管上传路由器｜调度中心机房 4 号柜｜10.40.0.254监管上传路由器省局监测平台｜上级平台（专线）｜198.51.100.20省局监测平台集团数据平台｜上级平台（专线）｜198.51.100.30集团数据平台井底车场环网交换机｜井底车场硐室｜10.20.1.1井底车场环网交换机中央变电所环网交换机｜中央变电所｜10.20.2.1中央变电所环网交换机中央水泵房环网交换机｜中央水泵房｜10.20.3.1中央水泵房环网交换机一采区变电所环网交换机｜一采区变电所｜10.20.4.1一采区变电所环网交换机101 工作面交换机｜101 综采工作面 · 设备列车｜10.20.5.1101 工作面交换机定位基站（井底车场）｜井底车场｜10.20.1.21定位基站（井底车场）井下广播终端（井底车场）｜井底车场｜10.20.1.31井下广播终端（井底车场）安全监控分站 2#（中央变电所）｜中央变电所｜10.20.2.11安全监控分站 2#（中央变电所）中央变电所综保子站｜中央变电所｜10.20.2.41中央变电所综保子站中央水泵房 PLC｜中央水泵房｜10.20.3.51中央水泵房 PLC安全监控分站 3#（一采区回风巷）｜一采区回风巷｜10.20.4.11安全监控分站 3#（一采区回风巷）安全监控分站 1#（101 工作面）｜101 综采工作面｜10.20.5.11安全监控分站 1#（101 工作面）定位基站（101 工作面）｜101 综采工作面｜10.20.5.21定位基站（101 工作面）101 工作面摄像机｜101 综采工作面｜10.20.5.61101 工作面摄像机
本方案改动的设备所选主张的路径旁路
03

候选整改工法

硬约束优先，再比较变更面、窗口与成本

3 个候选
  1. 删除「管理网边界防火墙」上的规则「办公到生产 any」（管理网（办公） → 生产控制网 · 地面，全部端口，放行）
  2. 删除「远维 VPN 网关」上的规则「安全监控厂商直连工程师站」（安全监控厂商远维 → 工程师站，TCP 3389，放行）